취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기타해외여행 시 편리하게 쓰는 eSIM(소프트웨어 방식의 가상 SIM 카드)을 노린 새로운 사기 수법이 등장했습니다. '무료 해외 데이터'를 미끼로 뿌려지는 비공식 eSIM 설정 파일을 스마트폰에 설치하면, 공격자가 만든 악성 프록시(중계 서버)가 몰래 작동하면서 스마트폰의 모든 인터넷 통신을 가로챕니다. 이 과정에서 은행·가상자산 거래소 등이 보내는 문자 인증번호(2FA OTP)와 로그인 세션 정보가 실시간으로 공격자 서버로 빠져나가, 본인도 모르는 사이에 계좌 인출이나 계정 탈취가 일어날 수 있습니다. 피해를 막으려면 스마트폰의 네트워크 프로필 설정을 주기적으로 확인하고, eSIM은 반드시 정식 통신사나 공인 판매처에서만 발급받아야 합니다.
자세히 보기
중요기업메타(Meta)가 맥(Mac)용으로 출시한 AI 비서 '뮤즈'(Muse)에서 권한 없는 앱이나 간단한 터미널 명령 한 줄만으로 이용자 계정을 완전히 탈취할 수 있는 제로데이(zero-day, 아직 패치가 없던 신규) 취약점이 발견됐습니다. 맥OS 보안 전문가 패트릭 워들이 공개한 이 취약점은, 뮤즈가 외부 앱에 노출해 둔 숨겨진 설정값 중 음성 받아쓰기 서버 주소를 공격자가 마음대로 바꿀 수 있다는 점을 이용합니다. 공격자가 이 값을 자신의 서버로 바꾸면, 이용자의 음성 데이터와 계정 인증 토큰이 공격자 서버로 전송되어 뮤즈가 가진 광범위한 권한(파일·카메라·마이크·일정 등)을 공격자가 그대로 악용할 수 있습니다. 메타는 취약점 공개 직후 핫픽스를 배포했으나, 클라우드 기반 음성 처리 방식과 설정값 관리 설계의 근본적인 문제는 여전히 지적받고 있습니다.
자세히 보기
중요기업Carbonato는 인증 없이 외부에 노출된 Docker 데몬 API(포트 2375)를 노리는 새로운 봇넷(botnet, 감염된 컴퓨터들로 구성된 원격 조종 네트워크) 악성코드입니다. 감염된 호스트에는 AI 에이전트 프레임워크인 Hermes Agent가 설치되어, 공격자가 Telegram을 통해 명령을 내리면 SSH 자격증명·AI API 키·액세스 토큰 등 민감한 정보를 자동으로 수집합니다. 웜(worm) 방식으로 5분마다 주변 네트워크를 스캔해 다른 취약한 Docker 호스트로 스스로 퍼져나가는 것이 특징입니다. Malwarebytes의 ThreatDown 연구팀은 Docker 데몬 API를 네트워크에서 차단하고 레지스트리에 인증을 적용할 것을 강력히 권고합니다.
자세히 보기
중요기업이번 주 보안 위협 모음집에는 총 16가지 사례가 담겨 있습니다. 안드로이드 뱅킹 악성코드, AI 코딩 도구의 소스코드 유출, 원클릭으로 VS Code를 장악하는 취약점, AI 검색 결과를 조작하는 대규모 허위정보 캠페인, 소프트웨어 공급망 공격 등 기업 환경을 직접 겨냥한 위협이 가득합니다. 특히 VS Code 취약점은 링크 하나 클릭만으로 공격자가 사용자 권한으로 코드를 실행하고 SSH 키·클라우드 토큰까지 탈취할 수 있어 즉각적인 대응이 필요합니다. 공급망 공격에서는 인기 오픈소스 프로젝트와 npm 패키지에 북한과 연계된 악성코드가 심겨 개발자 환경이 감염될 수 있음을 보여줍니다. 대부분의 공격은 정교한 기술 없이도 잘못된 설정, 낡은 소프트웨어, 사람의 실수 하나만으로 성공하고 있습니다.
자세히 보기
중요기업GitLab에는 이메일로 이슈나 작업을 프로젝트에 등록할 수 있는 "Email work item to this project" 기능이 있는데, 이 기능이 생성하는 개인 이메일 주소에는 계정 자격증명 역할을 하는 토큰이 포함되어 있습니다. 일부 개발자들이 버그 신고를 받기 위해 이 주소를 README나 공개 문서에 올려놓았고, 보안업체 Aikido가 이를 악용하면 공격자가 해당 사용자 권한으로 병합 요청(Merge Request)을 생성하거나 보호된 브랜치에 코드를 밀어 넣을 수 있다고 경고했습니다. GitLab은 이메일 발신자 주소를 검증하지 않아 인터넷 상의 누구나 토큰 소유자 명의로 요청을 보낼 수 있으며, IP 주소 제한도 우회됩니다. 인기 오픈소스 프로젝트도 영향을 받아 공급망(소프트웨어 공급망 보안) 위험이 제기된 상태이며, 노출된 토큰은 즉시 재설정해야 합니다.
자세히 보기
중요기업해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
자세히 보기
중요금융'UNK_CondorFiltration'이라는 이름의 해킹 캠페인이 TeamFiltration(계정 열거·패스워드 스프레이·데이터 탈취에 사용되는 공격 프레임워크)을 이용해 칠레의 금융기관과 소매업체 28개 Microsoft 365 테넌트, 5,700개 이상의 계정을 공격했습니다. 공격자는 1,487개의 AWS IP 주소를 동원해 2026년 7월~8월 세 차례에 걸쳐 무차별 대입을 시도했고, 결국 7개 계정을 탈취했습니다. 피해 계정 모두 IT팀이 발급 후 비밀번호를 한 번도 바꾸지 않은 채 방치된 서비스 계정이었으며, MFA(다중 인증)도 적용되지 않았습니다. 공격자는 계정 탈취 2분 이내에 독일 VPN을 경유하여 Azure Portal, SharePoint, Microsoft Graph API 등에 접근했으며, 데이터 수집·유출 가능성이 있습니다. 이번 사례는 방치된 비인간 계정(서비스 계정)이 기업 보안의 심각한 취약 고리임을 보여줍니다.
자세히 보기
중요금융국내 가상자산 앱 지갑 서비스 '디센트(D'CENT)'를 운영하는 아이오트러스트에서 이용자 자산이 무단으로 빠져나가는 사고가 확산되고 있습니다. 신고 건수는 110건으로 늘었으며, 피해 자산은 리플(XRP)을 비롯해 비트코인·테더·트론(TRX)까지 확대됐습니다. 전문가들은 지난해 11월 5일 이전 구버전 앱이 개인키를 만들 때 사용하는 난수(예측하기 어려운 무작위 숫자)가 충분히 복잡하지 않았을 가능성을 유력한 원인으로 꼽고 있으며, 하드웨어 월렛을 사칭한 스미싱(악성 문자) 피싱도 추가 원인으로 조사되고 있습니다. 회사는 경찰청 사이버수사대 및 국내외 거래소에 피해 자산 동결을 요청했고, 구버전 앱 이용자에게 자산을 하드웨어 월렛으로 즉시 옮길 것을 권고하고 있습니다.
자세히 보기
중요기업북한(DPRK) 연계 해커 그룹이 HashiCorp의 Terraform 레지스트리, npm, Go 모듈 등 개발자 패키지 저장소를 통해 Go 기반 악성코드를 배포하고 있습니다. 공격자들은 LinkedIn·Facebook 등에서 가짜 IT 기업 직원으로 위장해 개발자에게 접근한 뒤, 채용 과제 형태로 악성 패키지가 포함된 코드를 실행하도록 유도합니다. 배포된 악성코드는 이더리움 블록체인 스마트 컨트랙트와 Slack을 명령·제어(C2) 채널로 활용해 탐지를 매우 어렵게 만드는 정교한 구조입니다. Terraform 레지스트리는 이번에 처음 악성코드 유포 경로로 악용되었으며, 공격 범위가 npm·PyPI를 넘어 빠르게 확대되고 있습니다. 개발자와 오픈소스 패키지 관리자는 외부 패키지 검증을 강화하고 계정에 다단계 인증(MFA)을 반드시 설정해야 합니다.
자세히 보기
중요기업GitLab은 사용자마다 이메일로 이슈를 등록할 수 있는 전용 주소를 제공하는데, 이 주소에 포함된 토큰이 유출되면 누구든 해당 사용자인 척 코드를 커밋하고 CI/CD(자동 빌드·배포) 작업을 실행할 수 있다는 사실이 보안업체 Aikido Security에 의해 밝혀졌습니다. 이 토큰은 만료되지 않고, GitLab은 발신자를 검증하지 않으며, IP 제한과 2단계 인증(2FA)도 우회됩니다. 토큰 하나가 해당 계정이 접근할 수 있는 모든 프로젝트에 적용되므로 피해 범위가 매우 넓습니다. GitLab은 현재 동작 방식을 변경하지 않은 상태이며, 사용자는 토큰을 직접 재설정해 유출된 주소를 무효화하는 것이 유일한 즉각적 대응 수단입니다.
자세히 보기
기업중국 이용자들이 미국 주요 AI 서비스의 지역 차단을 우회하도록 돕는 중계 서버(릴레이 서버)가 8만 개 이상 확인됐습니다. 이 서버들은 여러 AI 계정을 묶어 자체 접속 키를 발급하는 방식으로 운영되며, AI 제공사 입장에서는 실제 사용자가 누구인지 파악하기 어렵습니다. 가장 우려되는 악용 사례는 '모델 증류(Model Distillation)'로, 고성능 AI에 대규모 질의를 보내 그 답변을 수집한 뒤 별도의 저비용 AI 모델을 학습시키는 방식으로 기술을 사실상 복제하는 행위입니다. 미국 CISA·NSA·FBI는 이달 초 중국 AI 기업들이 이러한 대규모 증류 캠페인을 벌이고 있다고 공동 경보를 발령한 바 있습니다. 보안 기업 Team Cymru는 확인된 중계 서버 IP 목록을 피해 AI 기업들과 공유하고 추가 탐지를 이어가고 있습니다.
자세히 보기
중요기업npm과 PyPI(파이썬 패키지 저장소)에 공개된 MemTensor의 정식 패키지 두 개가 공격자에게 침해당해, 악성 코드가 몰래 심어졌습니다. 해당 패키지를 설치한 개발자나 자동화 파이프라인(CI/CD)은 **sckit**이라는 자격증명 탈취 악성 프로그램에 감염될 수 있으며, AWS 키·GitHub 토큰·PyPI 토큰·SSH 키 등 민감한 비밀 정보가 외부 서버로 유출됩니다. 공격자는 MemTensor의 GitHub Actions 워크플로우를 악용해 배포 토큰을 가로채는 방식으로 공식 패키지에 악성 버전을 등록했습니다. 감염된 패키지는 자체 증식 기능도 갖춰 다른 npm·PyPI 패키지나 GitHub Actions 워크플로우로 퍼질 수 있습니다. 해당 패키지를 사용 중이라면 즉시 안전한 버전으로 고정하고, 노출된 모든 시크릿(비밀 키·토큰)을 교체해야 합니다.
자세히 보기